FBI:提携ハッカーとの信頼関係を崩壊させたことがLockBit摘発を加速させた

提携ハッカーとの信頼関係を崩壊させたことと、強固な国際協力体制が、LockBit解体の決め手となりました。LockBitは全盛期にはランサムウェア攻撃の4分の1を占めるほどの規模を誇り、当時最も成功していたランサムウェア・アズ・ア・サービス(RaaS)グループの一つでした。

LockBitは主に2020年から2024年にかけて活動しました。FBIサイバー部門のアシスタントディレクターを務めるブレット・レザーマン氏がDark Readingに語ったところによると、活動期間中に少なくとも120カ国で2,500以上の組織が被害に遭い、そのうち1,800件以上が米国内での攻撃だったといいます。同グループは総額で5億ドル以上の身代金を回収しており、グループとそのリーダーであるロシア国籍のドミトリー・ユーリエヴィッチ・ホロシェフ容疑者は、一見無敵のように見えていました。

レザーマン氏は「LockBitのRaaS事業は、一時期は世界で最も成功した犯罪ビジネスだった」と述べています。実際、同グループが摘発されるまでには、汚れ仕事を担う約200の提携ハッカーからなるネットワークを構築しており、ホロシェフ容疑者はそのネットワークが稼ぐ身代金の1ドルにつき20セントを徴収していたと同氏は説明します。

こうした状況は、2024年2月に「Operation Cronos」と呼ばれる法執行機関による作戦が同グループを標的とするまで続きました(これはより広範なOperation Endgameの一環でした)。この作戦によりLockBitのインフラは押収され、その評判と日常的な運用は恒久的な打撃を受けました。レザーマン氏によると、法執行機関の作戦はリークサイトからコントロールパネル、ソースコード、その中のデータに至るまでLockBit自身のプラットフォームを完全に掌握し、LockBitのサーバーを押収したうえで復号鍵を被害者の手に渡したといいます。

レザーマン氏と、英国家犯罪対策庁(NCA)国家サイバー犯罪ユニットの副ディレクターを務めるポール・フォスター氏は、来週ラスベガスで開催されるBlack Hat USA 2026で、Operation Cronosの詳細を解説するセッション「Anatomy of a Takedown: Inside the Operation That Broke LockBit」に登壇する予定です。

Operation Cronos:信頼関係の破壊と構築

この作戦は、FBIが英国家犯罪対策庁、Europol、その他10の国際的パートナーと協力して実施したものですが、その成功の核心となった要因の一つは、グループが提携ハッカーのネットワークとの間に築いていた信頼関係を打ち砕いたことだったと、レザーマン氏はDark Readingに語りました。提携ハッカーたちは匿名性とグループとの長期的な成功を約束されていましたが、この作戦はまさにグループ自身のリークサイトを使って彼らの正体を「暴露」することで、その関係に亀裂を生じさせたのです。

「ランサムウェア・アズ・ア・サービスが実際に売っているのは信頼です」とレザーマン氏は説明します。「提携ハッカーはプラットフォームに自分のアクセス権、マルウェアのビルド、交渉、そして金銭を委ねます。その見返りに得られるはずのものが、匿名性と報酬なのです」

Operation CronosがLockBitの技術インフラを押収・停止させ、グループの機能を麻痺させた後、リークサイトにはカウントダウンタイマーが設置されました。

「法執行機関は提携ハッカーの名前を公表し、シンプルなメッセージを添えました。『我々は彼らが誰であるかを把握しており、監視を続ける』というものです」とレザーマン氏は説明します。「そして、彼ら自身のサーバーに真実を語らせました。削除すると約束していた被害者データを保持していたこと、そして身代金を支払った被害者の一部は壊れた復号ツールを渡され、サポートも受けられなかったことをです」

レザーマン氏によると、FBIとそのパートナーは、グループの能力そのものを標的にするだけでは活動を完全に止めるには不十分だと分かっていたといいます。当局はまた、LockBitの信用を二度と回復できない形で傷つける必要があり、実際に今日に至るまでそれは回復していない、とレザーマン氏は述べています。「犯罪組織は一日でサーバーを再構築できますが、信頼を再構築することは遥かに難しい問題です」と同氏は語ります。

一方で、捜査官たちは他の法執行機関との強固な信頼関係とパートナーシップの構築にも注力しました。これは「当時としては本当に珍しいことだった」といいます。

NCAのフォスター氏も「すべての機関による協力が、この作戦の成功にとって間違いなく鍵となった」と同意します。「各機関がそれぞれ独自のスキルとアクセス手段を活かして、より大きな成果を上げるには、緊密な協力と連携が不可欠でした」

LockBitの一部の構成要素は今日でも活動を続けていますが、主要メンバーの数名はすでに逮捕されており、他のメンバーも犯罪容疑で起訴されています。そのため、このグループ自体はもはや国際的なランサムウェアの舞台で主要な存在ではなくなりました。ホロシェフ容疑者は依然逃亡中ですが、米司法省から制裁を受け、複数の刑事訴追を受けています。同省は逮捕につながる情報に対して1,000万ドルの懸賞金を提示しています。

Operation Cronosから2年半が経過した今、LockBitはランサムウェアのエコシステムにおいてマイナーな存在にとどまっていますが、レザーマン氏によれば「その影響力と信用は著しく低下した」状態です。「ランサムウェアの状況は今や大きく様変わりしています」とフォスター氏は語ります。「かつてはLockBitが単独の支配的勢力として存在し、その周辺に小規模な亜種が点在するという構図でしたが、今では明確に支配的な亜種が存在しない状況へと変化しています」

実際、LockBitの英国における平均的な攻撃件数は、摘発以降73%減少しており、「米国でもほぼ同様の減少が見られる」とフォスター氏は述べています。同氏は暗号資産の追跡支援を手がける企業Chainanalysisのデータを引用し、同社の調査によればLockBitの米国における身代金支払い件数は2024年後半に79%減少したとしています。

LockBit摘発から得られた教訓

レザーマン氏によれば、法執行機関はFBIや他の機関が今後の捜査・活動に活かしていく重要な教訓をいくつか得たといい、Dark Readingに3つのポイントを共有してくれました。

一つ目は、サイバー犯罪のエコシステムの捜査に臨む際、当局は「評判を運用上の資産」として捉え、グループとそのパートナーが持つ有形のインフラやその他の資産と同じくらい、評判そのものを標的にする必要があるということです。「LockBitは提携ハッカーを守り、報酬を支払えるという評判を築くために何年も費やしてきましたが、我々は一度の連携作戦でその両方が実は不可能であることを証明しました」と同氏は語ります。

もう一つの教訓は、LockBitが持っていたようなインフラの集中化――中央のハブから提携ハッカーを統制する仕組み――は「諸刃の剣である」ということだと、レザーマン氏は述べています。「一方では、LockBitにとって作戦を実行するための集中プラットフォームを持つことは効率的でしたが、他方ではそのシステムを標的にする我々にとっても、それは同じくらい効率的でした」

レザーマン氏によると、これを受けて脅威アクターたちは、法執行機関が中央のハブをより容易に攻撃できることへの対応として、活動の分散化を進め始めており、それに伴い捜査官側も戦術の変更を迫られているといいます。

Operation Cronosから得られた3つ目の教訓は、新たに学んだというよりも「再確認された」ものだと同氏は言います。それは、「ランサムウェアグループとは一つの市場である」ということであり、「マルウェアはあくまで店舗の看板にすぎない」ということです。そこには「ツールを開発し、分け前を受け取る少数の中核メンバー」が存在します。

しかし、その周囲には「提携ハッカー、アクセスブローカー、資金洗浄業者からなるより広範な経済圏」が存在すると同氏は述べ、これこそが摘発を成功させたい法執行機関の作戦にとって真に狙うべき標的だとしています。「我々はそのエコシステム自体を標的にしなければなりません。そうすることで、彼らの活動能力そのものを削ぐことができるのです」